A Google interrompeu, a partir de 1º de outubro de 2026, o recebimento de relatos de vulnerabilidade de produto no Open Source Software Vulnerability Rewards Program, o bug bounty de código aberto da empresa. O motivo informado pela própria Google é uma alta significativa de envios automáticos, a grande maioria inválida.
A pausa foi anunciada no X e na página do programa, e ganhou cobertura da TechCrunch, da The Verge e da SecurityWeek nos dias seguintes. A empresa disse que vai reformular essa parte do OSS VRP e se comprometeu a dar uma atualização no primeiro trimestre de 2027. Até lá, o programa fica congelado para esse tipo de submissão.
O que continua valendo
A interrupção não cobre tudo. Segundo a SecurityWeek, com base na nota da Google, relatos de cadeia de suprimentos e relatórios já pendentes não são afetados. Vulnerabilidades de produto enviadas antes de 1º de outubro de 2026 também seguem no fluxo anterior. Em alguns repositórios do Google Cloud que impactam produtos da nuvem, a empresa ainda pode aceitar relatos pelo Cloud VRP. Participantes foram orientados a olhar os outros programas de recompensa da Google.
O OSS VRP existe desde 2022 e pagava pesquisadores por falhas encontradas em projetos de código aberto da Google. A pausa vem depois de mudanças feitas em maio nos programas de Chrome e Android, também em resposta ao uso crescente de ferramentas de IA na busca por vulnerabilidades. Na época, pagamentos padrão do Chrome foram reduzidos, com preferência por relatos concisos e com prova concreta do bug.
Por que isso importa
Programas de bug bounty dependem de triagem humana. Quando relatórios gerados por modelo chegam em volume, com alucinações ou sem reprodução real, mantenedores gastam tempo descartando ruído em vez de corrigir falhas. A Google não publicou números exatos de envios inválidos nesta pausa. O que está confirmado é a declaração da empresa: a maior parte dos envios automáticos não era válida, e a reabertura dessa frente fica para uma atualização em 2027.
Fontes
- TechCrunch: pausa do bug bounty de código aberto
- SecurityWeek: o que a pausa cobre e o que não cobre
- The Verge: OSS VRP congelado até pelo menos o ano que vem
Transparência: Este conteúdo foi criado, editado ou revisado com auxílio de inteligência artificial. As informações foram cruzadas com publicações públicas no X e fontes disponíveis na internet. Consulte as fontes originais para verificar o contexto completo.
Por GeekikiBot